Windiws 7 заражена Trojan-Dowenloader.Win32 Autolt.q

Здравствуйте! У меня на ноуте и компьютере завелся зловред. Сканировал систему с помощью AVZ утилиты, она выдает подозрение на Trojan-Dowenloader.Win32 Autolt.q. Пытался чистить с помощью Dr.Web Live Disk. удоляет несколько файлов , а при старте системы троян возвращается. Пробовал ставить на компьютер антивирус Grizzly Pro, он выдает детект в виде Trojan.Win32.Web Shell.fcuswx. Отсюда видно что троян написан на Unix подобном языке и простое удаление не поможетю. Пробовал делать низкоуровневое форматирование с извлечением карты памяти, c обнулением BIOS, извлекая батарейку питания. У меня есть подозрения на саму Windows 7, так как покупал ее давно в магазине. На коробке написана " Ограничения активации" Распространение и обязательная активация должны осуществляться в пределах Содружества Независимых Государст и Грузии" , еще настораживает что систему можно поставить на любой компьютер и активация проходит без проблем. Подскажите, что с этой пакостью можно сделать,чтобы ее канкретно победить? На всякий случай сделал Log файлы и прикрепляю к сообщению.

Уважаемый(ая) [B]Nikolay101[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

Здравствуйте! Извините что не сразу отвечаю, очень загруженная неделя выдалась. Высылаю Log

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Высылаю все логи программы.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\Windows\System32\wbem\WMIADAP.exe
Task: {65CDA04E-648C-4A97-8D33-33C6A5CCEA8D} - no filepath
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Обратите внимание, что логируются аппаратные проблемы с диском.
[CODE]
Error: (06/29/2018 01:09:43 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk1\DR1.

Error: (06/29/2018 01:09:43 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk1\DR1.

Error: (06/29/2018 01:09:42 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk1\DR1.

Error: (06/29/2018 01:09:41 PM) (Source: Disk) (EventID: 11) (User: )
Description: Драйвер обнаружил ошибку контроллера \Device\Harddisk1\DR1.
[/CODE]

Здравствуйте! Высылаю следующий LOG. На счет ошибок контролеров , на ноутбуке стоит Windows 7 со стандартными драйверами из коробки. Я пока не вижу смысла ставить все драйвера, мало ли придется переустанавливать. На втором компе сделал зачистку жесткого диска Actide@KillDisk и под Dos строкой в Hex редакторе просматривал сектора диска, в 0, 1 (в начале и конце остаются дорожки байтров), 6( копируются байты до BOOT загрузчика), 32 секторе (в конце прописаны байты), по сути такого не должно оставаться после низкоуровневого форматирования. В интернете скачал книгу от Касперского про вирусы, стал повышать уровень знаний. В книге сказано, что некие виды троянов могут переносится даже на записанных компакт дисках, добавляя себя поверх записи диска. KillDisk записан на CD-RW, вполне вероятно что на диске еще и прописался паразит. Если нужно будет я пришлю и Log Hex редактора.

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

Здравствуйте! Вот новый лог автозапуска

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
BREG
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\USERS\WARMEN\APPDATA\LOCAL\TEMP\24CEFE9B.SYS
delref %SystemDrive%\USERS\WARMEN\APPDATA\LOCAL\TEMP\C5996D02-8AC04A12-84E7FA52-9FE7EAB6\232A962B.SYS
restart[/CODE]

Здравствуйте! Прикрепляю следующий LOG. После применения скрипта из автозапуска выгрузился psxss.exe.
Я посмотрел в менеджере автозаруска программы AVZ и обнаружил, что остается ветка реестра
C\Windows\system32\psxss.exe
WoW\Boot progman.exe

В модуле пространстве ядра остаются файлы по адресу
C\Windows\system32\Drivers\damp_dumpata.sys
\damp_dumpfve.sys
\damp_msahci.sys
В Диспетчере процессов около 125 PID процессов отмечены красным цветом без всякого описания и без видимых окон, выгрузить не получается из памяти.
При повторном сканировании AVZ выдает следующее сообщение
Ядро ntkrnlpa.exe обнаружено в памяти по адресу 8283E000 (участки памяти не статичны)
SDT=829A69C0
KiST=828AD030 (401)
Далее поднимаются все не известные процессы красного цвета. С помощью программы FAR заглянул в файлы Карзины, там лежат несколько файлов с расширением temp. До этого пробовал удалять с помощью Live CD Disk все файлы dump, карзины и еще некоторые, неопознанных процессов становилось меньше но все без успешно.
Похоже эта пакость очень сильно сопряжена с ядром системы.

Это нормальное поведение AVZ. Покажите пожалуйста результат следующей команды в командной строке (cmd.exe):
[CODE]sfc /scannow[/CODE]

Здравствуйте! После ввода команды ноут выдает следующее: "Защита ресурсов Windows не обнаружила нарушений целостности".
Я до этого отключил во вкладке защита системы восстановление на всех дисках. Нужно ли присылать LOG из C:\Windows\Logs\CBS\CBS.log ?

Нет, уточните пожалуйста, что с проблемой?

Здравствуйте! Меня интересует можно ли закрыть такую утечку простым плагином вроде https Everywhere. Если нет то удалите сообщение.
Благодарю за понимание и поддержку.

[QUOTE=Nikolay101;1484599]Здравствуйте! Меня интересует можно ли закрыть такую утечку простым плагином вроде https Everywhere. Если нет то удалите сообщение.
Благодарю за понимание и поддержку.[/QUOTE]
Уточните пожалуйста, о какой утечки идет речь?

Здравствуйте! О утечке нешифровоного трафика HTTP

Https соединение/трафик может защитить только от так называемых атак по середине (клиент<->сервер). Но однако встраечаются случае, когда перехватывают и зашифрованный трафик, например когда на одном из концов имеется вредоносное ПО или злоумышлиннику известен приватный ключ.